Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles est :
Pierre-Louis COTON, Entrepreneur Individuel
60 Rue François Ier, 75008 Paris, France
SIREN : 878 583 251
Email : contact@glys.io

2. Données collectées, finalités et bases légales

2.1 Site web (glys.io)

Formulaire de contact :

• Données collectées : nom, prénom, email, téléphone (facultatif), nom de l'écurie, code postal, nombre de chevaux, message (facultatif)
• Données techniques collectées automatiquement : adresse IP, user-agent du navigateur
• Finalité : traitement de votre demande de contact et prospection commerciale
• Base légale : consentement (soumission volontaire du formulaire)

Protection anti-spam :

• Méthode : champ honeypot caché + vérification du temps de remplissage
• Données collectées : aucune donnée supplémentaire (technique côté serveur uniquement)
• Base légale : intérêt légitime (sécurité du service)

Analyse d'audience et enregistrement de session (consentement requis) :

• Service utilisé : PostHog (serveurs UE)
• Consentement : opt-out par défaut — désactivé tant que vous n'avez pas accepté via la bannière de consentement
• Données collectées après consentement : pages visitées, clics, durée de visite, type de navigateur, taille d'écran, enregistrement de session (mouvements de souris, défilement, interactions)
• Données masquées automatiquement : les champs de saisie (formulaires) sont masqués dans les enregistrements de session pour protéger les données personnelles
• Finalité : amélioration de l'expérience utilisateur et analyse de la performance du site
• Base légale : consentement explicite (bannière de cookies)

En l'absence de consentement, le site ne collecte aucune donnée de navigation au-delà du formulaire de contact et de la protection anti-spam.

2.2 Application Desktop (Glys)

Données métier :

• Les données que vous saisissez dans l'application (chevaux, propriétaires, contrats, factures, soins, etc.) sont stockées localement sur votre ordinateur dans une base de données chiffrée (SQLCipher). Le Prestataire n'a pas accès à ces données en clair.

Données de licence :

• Données transmises au serveur : clé de licence, identifiant machine (hash unique), système d'exploitation, version de l'application, ainsi que les coordonnées de l'entreprise (nom, SIRET, email, téléphone, adresse) si renseignées
• Finalité : activation et vérification de la licence, gestion du compte client
• Base légale : exécution du contrat

Statistiques d'utilisation (optionnel) :

• Service utilisé : PostHog (serveurs UE)
• Consentement : opt-in explicite — désactivé par défaut, activé uniquement si vous l'acceptez dans les paramètres
• Données collectées : identifiant anonymisé (hash de la clé de licence), type de forfait, système d'exploitation, version de l'application. Aucune donnée métier n'est transmise.
• Finalité : amélioration du produit
• Base légale : consentement explicite

2.3 Synchronisation Desktop ↔ Mobile

• Lorsque vous activez la synchronisation avec l'application mobile compagnon, vos données métier transitent de manière chiffrée de bout en bout (E2EE). Le serveur stocke uniquement des blobs chiffrés qu'il ne peut pas déchiffrer.
• Métadonnées techniques transmises en clair : identifiant de l'écurie, numéro de séquence, taille des données, version de la clé de chiffrement, hash de vérification d'intégrité
• Finalité : fonctionnement technique de la synchronisation
• Base légale : exécution du contrat

2.4 Signature électronique

• Données collectées lors d'une signature : nom et email du signataire, image de la signature manuscrite, adresse IP, user-agent, texte de consentement, horodatage, hash du document signé
• Finalité : constitution de la preuve de signature conformément au règlement eIDAS
• Base légale : exécution du contrat et obligation légale (conservation des preuves)

2.5 Application mobile compagnon

• Données transmises lors de l'appairage : identifiant unique de l'appareil, plateforme (iOS/Android), modèle, version OS, version de l'application
• Permissions demandées : caméra (scan du QR code d'appairage), Face ID/Touch ID (protection des données), notifications push (synchronisation en arrière-plan)
• Token push : stocké chiffré (AES-256-GCM) sur le serveur, transite via les services Expo (notifications)
• Finalité : fonctionnement de la synchronisation mobile
• Base légale : exécution du contrat

2.6 Récupération de compte

• Données stockées sur le serveur : email, identifiant de l'écurie, données cryptographiques de récupération (clé partielle, blob chiffré, sels)
• Finalité : permettre la récupération du compte en cas de perte du mot de passe maître
• Base légale : exécution du contrat

3. Destinataires et sous-traitants

Vos données personnelles peuvent être transmises aux destinataires suivants, dans le strict cadre des finalités décrites ci-dessus :

* Les transferts vers les États-Unis sont encadrés par le EU-U.S. Data Privacy Framework ou, à défaut, par des clauses contractuelles types approuvées par la Commission européenne.

4. Durées de conservation

Les données métier stockées localement sur votre ordinateur (base de données chiffrée) sont sous votre contrôle exclusif. Leur conservation et suppression relèvent de votre responsabilité.

5. Sécurité des données

Glys met en œuvre les mesures de sécurité suivantes pour protéger vos données :

• Chiffrement local : base de données chiffrée via SQLCipher. La clé de chiffrement (DEK) est dérivée de votre mot de passe maître via Argon2id et n'est jamais stockée sur le disque.
• Chiffrement de bout en bout (E2EE) : les données synchronisées sont chiffrées avec XChaCha20-Poly1305 avant de quitter votre appareil. Le serveur ne manipule que des données chiffrées qu'il ne peut pas déchiffrer.
• Chiffrement côté serveur : les données sensibles stockées sur le serveur (noms des signataires, données de signature, tokens push) sont chiffrées en AES-256-GCM.
• Isolation des données RH : les données relatives aux employés sont isolées cryptographiquement via HKDF-SHA256, empêchant tout accès croisé entre employés.
• Transport sécurisé : toutes les communications entre l'application et le serveur sont chiffrées via TLS 1.3.

6. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation du traitement de vos données et en recevoir une copie
• Droit de rectification (art. 16 RGPD) : corriger vos données inexactes ou incomplètes
• Droit à l'effacement (art. 17 RGPD) : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la limitation du traitement (art. 18 RGPD) : restreindre le traitement de vos données dans certaines conditions
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré et couramment utilisé
• Droit d'opposition (art. 21 RGPD) : vous opposer au traitement de vos données pour des motifs légitimes

Pour exercer ces droits, contactez-nous à l'adresse : contact@glys.io. Nous nous engageons à répondre dans un délai d'un mois.

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

7. Cookies

Le site web glys.io utilise les cookies suivants :

Sans votre consentement explicite via la bannière, aucun cookie analytique n'est déposé. Vous pouvez modifier votre choix à tout moment en supprimant le cookie glys_consent de votre navigateur.

8. Modifications de cette politique

Cette politique de confidentialité peut être mise à jour pour refléter les évolutions du service ou de la réglementation. En cas de modification substantielle, les utilisateurs disposant d'un compte actif seront informés par email. La date de dernière mise à jour est indiquée en haut de cette page.